Si alguien consiguió un duplicado de tu tarjeta SIM y lo usó para operar en tu banca online, esas operaciones no las autorizaste tú y el banco tiene que devolvértelas, salvo que pruebe que actuaste con fraude o con negligencia grave (arts. 44 a 46 del Real Decreto-ley 19/2018). El Tribunal Supremo aplicó este régimen a un caso así en la STS 571/2025. La operadora que entregó el duplicado a otra persona también puede tener que indemnizarte, y la Agencia Española de Protección de Datos ha sancionado a varias por hacerlo.
Cómo funciona este fraude
El Banco de España lo describe así en su compendio de buenas prácticas: los delincuentes obtienen primero tus datos con un correo, un SMS o una llamada falsos, o con técnicas de ingeniería social. Después piden a tu operadora un duplicado de la SIM, con lo que la tuya suele quedar bloqueada. Con la nueva tarjeta reciben los códigos de un solo uso que el banco manda por SMS, pueden cambiar tus claves de acceso y hacer transferencias, pagos o incluso contratar productos a tu nombre.
Por eso, si tu móvil se queda de repente sin línea y no sabes por qué, sospecha de un duplicado.
Qué hacer en la primera hora
- Llama a tu operadora desde otro teléfono para que anule el duplicado y te devuelva la línea.
- Avisa al banco por su teléfono de incidencias: que bloquee el acceso a la banca online y las tarjetas. Desde tu aviso, el banco tiene que impedir cualquier uso de tus instrumentos de pago (art. 42.1.e).
- Denuncia. Conseguir una transferencia no consentida mediante una manipulación informática o un artificio semejante es estafa (art. 249.1.a del Código Penal).
- Reclama por escrito al banco las operaciones que no reconoces. El plazo máximo es de 13 meses desde el cargo, pero hay que avisar sin demora (art. 43.1).
- Pide a la operadora que te informe de cuándo, dónde y con qué documentación se emitió el duplicado. Es un ejercicio del derecho de acceso a tus datos (art. 15 del Reglamento General de Protección de Datos) y tiene un mes para contestarte (art. 12.3).
El banco: devolución salvo negligencia grave
Si las operaciones las hizo quien tenía tu SIM, no las consentiste, y una operación sin consentimiento es no autorizada (art. 36.1). El banco tiene que devolverte el importe como muy tarde al final del día hábil siguiente a tu aviso (art. 45.1) y, si quiere discutirlo, probar que hubo fraude o negligencia grave por tu parte (art. 44.3). Que los códigos se enviaran a tu número no prueba nada: se enviaron a tu número, pero los recibió el duplicado.
En la STS 571/2025, de 9 de abril, el Supremo resolvió un caso de este tipo. El cliente había avisado a su banco de que pasaba algo raro y la entidad no cambió sus claves ni adoptó ninguna medida. El tribunal recordó que el régimen de los servicios de pago es de responsabilidad casi objetiva del banco y que este debe tener sistemas capaces de detectar anomalías, como diecisiete operaciones seguidas de madrugada en una cuenta que nunca opera así. Desestimó el recurso del banco.
Que la operadora también tenga culpa no libera al banco. La obligación de devolver una operación no autorizada es de tu banco (art. 45). Si el banco cree que el fallo fue de la operadora, es él quien tendrá que entenderse con ella. Distinto es que tú facilitaras tus claves o los códigos a quien te llamó haciéndose pasar por el banco: ahí el banco alegará negligencia grave, y lo vemos en phishing bancario.
La operadora: protección de datos e indemnización
La Agencia Española de Protección de Datos ha sancionado a operadoras por entregar duplicados a quien no era el titular, por tratar los datos sin base legal (art. 6.1 del RGPD) o sin la seguridad debida (art. 5.1.f):
| Procedimiento | Operadora | Multa | Infracción |
|---|---|---|---|
| PS/00001/2021 | Vodafone España | 3.940.000 € | Arts. 5.1.f y 5.2 del RGPD |
| PS/00027/2021 | Xfera Móviles | 200.000 € | Art. 5.1.f del RGPD (recurso de reposición desestimado) |
| PS/00500/2023 | Vodafone España | 200.000 € | Art. 6.1 del RGPD |
| PS/00148/2025 | Xfera Móviles | 200.000 € | Art. 6.1 del RGPD |
Son resoluciones publicadas por la propia Agencia; alguna puede estar recurrida ante los tribunales. La Agencia sanciona, pero no te indemniza. La indemnización por los daños materiales o morales que te cause una infracción de protección de datos se pide al responsable del tratamiento, en este caso la operadora (art. 82.1 del RGPD), y si no paga, ante los tribunales (art. 82.6). Puedes reclamar a la vez ante la Agencia para que investigue.
A quién reclamar y qué
| Frente a | Qué pides | Dónde |
|---|---|---|
| Tu banco | La devolución de las operaciones no autorizadas | Servicio de atención al cliente (15 días hábiles, art. 69), Banco de España y juzgado |
| La operadora | La indemnización de los daños que no cubra el banco y de los daños morales | Reclamación a la operadora y, si no paga, juzgado |
| La Agencia de Protección de Datos | Que investigue y sancione la entrega del duplicado | Sede electrónica de la AEPD |
| Los autores | Responsabilidad penal y civil | Denuncia ante Policía, Guardia Civil o juzgado |
Lo práctico: en la reclamación al banco explica la cronología con horas: cuándo te quedaste sin línea, cuándo lo notaste, cuándo avisaste a la operadora y al banco. Adjunta la denuncia y cualquier SMS de la operadora sobre el cambio de SIM. Esa cronología es la que permite discutir después si hubo negligencia o si el banco reaccionó tarde.
Preguntas que nos hacéis cada semana
El banco dice que los códigos llegaron a mi número y que por eso la operación está autorizada.
Llegaron al duplicado que tenía otra persona. El registro de una operación no basta por sí solo para probar que la autorizaste (art. 44.2), y el banco tiene que probar fraude o negligencia grave.
¿Reclamo primero al banco o a la operadora?
A los dos a la vez. Al banco, la devolución de las operaciones; a la operadora, la información del duplicado y la indemnización. Son reclamaciones independientes.
También me contrataron un préstamo con el duplicado.
No lo pediste tú: niega el contrato por escrito, acompaña la denuncia y no pagues. Lo explicamos en préstamos a mi nombre.
¿La Agencia de Protección de Datos me devolverá el dinero?
No. La Agencia puede sancionar a la operadora, pero la indemnización se reclama a la operadora y, si no paga, en los tribunales (art. 82.6 del RGPD).
¿Qué pasa si ya han pasado meses?
Para el banco, el plazo máximo para comunicar las operaciones no autorizadas es de 13 meses desde el cargo. Si estás dentro, reclama ya y explica por qué no lo viste antes.
Te llama un abogado de reclamaciones al banco
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de reclamaciones al banco →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Cargos en la tarjeta que no has hecho
→ Si diste tus claves en una llamada o mensaje falsos
→ Si contrataron préstamos a tu nombre
→ Reclamar al Banco de España
→ Si el banco bloquea tu cuenta tras el fraude
Marco legal: arts. 36, 41 a 46, 68 y 69 del Real Decreto-ley 19/2018, de servicios de pago · art. 249 del Código Penal · arts. 5, 6, 12, 15 y 82 del Reglamento (UE) 2016/679 · STS 571/2025, de 9 de abril · resoluciones de la AEPD PS/00001/2021, PS/00027/2021, PS/00500/2023 y PS/00148/2025 · Banco de España, Compendio de criterios de buenas prácticas bancarias (abril de 2026). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.